Est-il légal de surveiller les salariés en Espagne ? L’article 20.3 expliqué

Est-il légal de surveiller les salariés en Espagne ?

La question « est-il légal de surveiller les salariés en Espagne ? » n’appelle pas une réponse simplement positive ou négative. Un employeur peut, dans certaines conditions, contrôler l’activité professionnelle et vérifier l’utilisation des outils de travail. Toutefois, ce pouvoir n’est pas illimité : il doit respecter la vie privée, la protection des données, la dignité des personnes et le principe de proportionnalité.

Le texte central à connaître est l’article 20.3 du Statut des travailleurs espagnol (Estatuto de los Trabajadores). Il reconnaît à l’employeur la possibilité d’adopter les mesures de surveillance et de contrôle qu’il estime appropriées pour vérifier que le salarié respecte ses obligations et ses devoirs professionnels. Ces mesures doivent être adoptées dans le respect de la dignité du salarié.

En pratique, l’article 20.3 ne constitue donc pas une autorisation générale de tout enregistrer. Il fournit un cadre au pouvoir de direction, qui doit être combiné avec les règles espagnoles et européennes relatives aux données personnelles.

Que permet l’article 20.3 du Statut des travailleurs ?

L’article 20.3 permet à l’employeur de contrôler l’exécution du travail, notamment lorsque ce contrôle est nécessaire pour organiser l’activité, protéger les ressources de l’entreprise ou vérifier le respect des règles internes. Les moyens utilisés peuvent varier selon le poste et le secteur :

• suivi de l’utilisation des appareils appartenant à l’entreprise ;
• contrôle des accès aux applications professionnelles ;
• vérification des horaires ou de la présence ;
• supervision de l’utilisation d’Internet et des systèmes informatiques ;
• dispositifs de vidéosurveillance dans les conditions prévues par la loi ;
• analyse de l’activité sur un outil professionnel, lorsque cette analyse est justifiée.

Le fait qu’une mesure soit techniquement possible ne signifie pas qu’elle soit automatiquement licite. L’employeur doit pouvoir expliquer son objectif, limiter la collecte à ce qui est nécessaire et éviter une surveillance excessive ou permanente de la vie personnelle.

Les principales limites : vie privée et protection des données

Toute solution de surveillance qui permet d’identifier un salarié peut impliquer un traitement de données personnelles. Le RGPD et la législation espagnole en matière de protection des données s’appliquent donc généralement. L’entreprise doit notamment déterminer une base juridique appropriée, définir une finalité claire et informer les personnes concernées.

Plusieurs principes sont particulièrement importants :

• Finalité : les données doivent être collectées pour un objectif professionnel déterminé, par exemple la sécurité informatique ou le suivi de l’utilisation d’un appareil professionnel.
• Minimisation : seules les données nécessaires doivent être traitées. Un dispositif très intrusif n’est pas justifié simplement parce qu’il fournit davantage d’informations.
• Transparence : les salariés doivent recevoir une information compréhensible sur le dispositif, ses objectifs, les données collectées, la durée de conservation et les personnes pouvant y accéder.
• Proportionnalité : le niveau de contrôle doit correspondre au risque et au besoin réel de l’entreprise.
• Limitation de la conservation : les données ne doivent pas être conservées indéfiniment.
• Sécurité et accès restreint : les informations doivent être protégées et accessibles uniquement aux personnes qui en ont besoin.

La surveillance ne doit pas servir à contourner les droits des salariés. Par exemple, enregistrer continuellement des informations privées, contrôler un appareil personnel ou suivre une personne en dehors des heures de travail soulève des risques juridiques importants.

Article 20.3 et surveillance des outils numériques

Les ordinateurs et comptes professionnels sont mis à disposition pour travailler, mais leur utilisation peut parfois comporter une dimension personnelle. En Espagne, l’employeur doit donc établir des règles claires concernant l’usage des appareils, de la messagerie, d’Internet et des applications professionnelles.

Ces règles devraient préciser au minimum :

1. les usages autorisés et interdits ;
2. les outils susceptibles d’être contrôlés ;
3. les objectifs du contrôle ;
4. les périodes et circonstances du contrôle ;
5. les personnes habilitées à consulter les informations ;
6. les durées de conservation ;
7. les procédures applicables en cas d’incident ou de soupçon d’utilisation abusive.

Une politique interne ne rend pas une mesure disproportionnée automatiquement légale. Elle constitue toutefois un élément essentiel de transparence et permet aux salariés de comprendre les règles applicables avant tout contrôle.

Pour les dispositifs permettant d’accéder à des contenus ou à des communications, le niveau de prudence doit être particulièrement élevé. La consultation du contenu de messages, la surveillance de conversations privées ou l’accès à des fichiers personnels peuvent porter atteinte à des droits fondamentaux et nécessitent une analyse juridique spécifique.

Faut-il informer les salariés ?

Oui, l’information des salariés est un élément essentiel. Ils doivent savoir qu’un dispositif existe et comprendre, dans un langage clair, ce qu’il mesure réellement. Une information vague, cachée dans un document difficile à trouver ou présentée après la mise en place du système peut être insuffisante.

L’information doit être adaptée au dispositif. Elle peut expliquer, par exemple, si l’outil mesure le temps d’activité, collecte des captures d’écran, enregistre les applications utilisées ou produit des rapports. Elle doit aussi indiquer les limites : appareils concernés, heures de fonctionnement, objectifs poursuivis et modalités d’exercice des droits.

La transparence ne signifie pas nécessairement que chaque détail opérationnel doive être communiqué de manière à neutraliser tout contrôle légitime. Elle signifie que les personnes doivent pouvoir comprendre la nature et la portée du traitement, conformément aux exigences de protection des données et aux règles internes applicables.

Comment mettre en place une surveillance proportionnée ?

Avant de choisir un logiciel, l’entreprise devrait réaliser une analyse structurée :

1. Définir le problème à résoudre

Le besoin est-il la sécurité des appareils, la facturation d’un projet, l’organisation du télétravail ou l’identification d’un incident ? Un objectif précis permet d’éviter une collecte générale et injustifiée.

2. Examiner les solutions moins intrusives

Un rapport agrégé, un suivi de projet ou des indicateurs de résultats peuvent parfois suffire. La surveillance individuelle détaillée ne devrait être retenue que si elle apporte une réponse nécessaire au besoin identifié.

3. Limiter le périmètre

Le contrôle devrait concerner les appareils appartenant à l’entreprise, les comptes professionnels et les horaires définis. Il est prudent d’exclure les appareils personnels et les périodes privées, sauf cadre juridique très spécifique.

4. Documenter et informer

L’entreprise doit formaliser sa politique, informer les salariés et, lorsque cela est requis, consulter les représentants des travailleurs ou solliciter l’avis du délégué à la protection des données.

5. Réévaluer régulièrement

Un dispositif doit être vérifié au fil du temps : est-il encore nécessaire ? Les données sont-elles réellement utilisées ? Les accès sont-ils correctement limités ? Les salariés rencontrent-ils des difficultés ou des risques inattendus ?

Le cas de ZimaWork

ZimaWork est conçu pour les ordinateurs appartenant à l’entreprise, au bureau comme à distance. La solution mesure l’activité réelle, peut capturer des captures d’écran de chaque affichage et utilise l’intelligence artificielle pour aider à expliquer le travail réalisé. Ces fonctions doivent être configurées selon un objectif professionnel légitime et une politique transparente.

Dans cette logique, ZimaWork affiche une notification aux salariés, conserve une icône visible dans la barre système, n’enregistre pas les frappes au clavier et fonctionne uniquement sur les appareils de l’entreprise pendant les horaires définis. Ces choix réduisent certains risques, mais ne dispensent pas l’employeur de respecter le RGPD, les règles espagnoles, les obligations d’information et le principe de proportionnalité.

Avant un déploiement en Espagne, l’entreprise devrait donc vérifier les paramètres, définir les périodes de fonctionnement, limiter les utilisateurs autorisés à consulter les données, fixer une durée de conservation et faire examiner la politique par un professionnel compétent lorsque le traitement présente un risque élevé pour les droits des salariés.

Questions fréquentes

L’article 20.3 autorise-t-il toute surveillance des salariés ?

Non. Il reconnaît un pouvoir de contrôle de l’employeur, mais celui-ci doit respecter la dignité, la vie privée, la protection des données, la transparence et la proportionnalité.

Puis-je surveiller un ordinateur personnel utilisé en télétravail ?

C’est particulièrement sensible. Une surveillance sur un appareil personnel risque de collecter des informations privées. Un cadre spécifique et une analyse juridique sont nécessaires ; utiliser uniquement un appareil professionnel est généralement plus maîtrisable.

Dois-je prévenir les salariés avant d’installer un outil de suivi ?

L’information préalable et compréhensible est un élément central de la conformité. Elle doit décrire le fonctionnement, les finalités, les données traitées, les destinataires et les droits des salariés.

Les captures d’écran sont-elles toujours légales en Espagne ?

Non. Leur légalité dépend du contexte, de la nécessité, de la fréquence, du contenu susceptible d’être capturé, de la période concernée et de l’information fournie. Elles doivent faire l’objet d’une évaluation de proportionnalité.

Faut-il demander le consentement des salariés ?

Le consentement n’est pas automatiquement la base juridique appropriée dans la relation de travail, en raison du déséquilibre entre l’employeur et le salarié. L’entreprise doit identifier la base juridique adaptée et respecter toutes les autres obligations de protection des données.